Security Basics– category –

「うちのシステム、パスワードだけで本当に大丈夫なのか？」 社内システムや業務アプリのセキュリティを見直そうとしたとき、まず突き当たるのが「認証をどう強化するか」という壁です。 パスワード認証、電子証明書、生体認証、ワンタイムパスワード——何...

「ISMSの認証って取るべき？」「ISO 27001はうちには関係ない話では？」——セキュリティ体制を整えようとしたとき、こうした疑問にぶつかる情シス担当者は多いはずです。 ISMSは大企業だけのものではありません。その考え方を取り入れるだけで、属人的なセ...

パッチが当たっていないサーバーは、攻撃者にとって格好の標的です。しかし、「脆弱性が出るたびに手当たり次第にパッチを当てる」のでは、かえって本番障害を招くリスクもあります。 では、現場のエンジニアや情シス担当者はどう動けばいいのか。本記事で...

クラウドを使えばセキュリティはプロバイダーにまかせておけば大丈夫――そう思っていませんか？実際、クラウド環境での情報漏洩事故の多くは、利用者側の設定ミスや管理不備が原因です。プロバイダーがどれだけ堅牢な基盤を提供していても、その上に乗せた...

2026年6月、KDDIがインターネット接続事業者向けに提供していたメールシステムが不正アクセスを受け、ニフティやビッグローブなど6社の利用者で最大1,422万件のメールアドレス・パスワードが漏えいした可能性があると発表しました。同じ月には、マネーフォ...

「情報セキュリティって、機密性・完全性・可用性の3つだけ押さえればいいよね？」 セキュリティの勉強を始めると、まずCIA三原則を習います。でも実は、情報セキュリティの要素はそれだけではありません。JIS Q 27000（ISO/IEC 27000）では、CIAトライア...

「セキュリティは開発が終わってから、テストフェーズで対処する」——そう考えている現場は、まだ多いのではないでしょうか。 しかし、後からセキュリティを「乗せる」アプローチには根本的な限界があります。設計段階ではなく実装後に欠陥が発覚すると、修...

「社内サーバーに見覚えのないIPアドレスからのアクセスがある」「クラウドサービスのログイン履歴に身に覚えのない記録が残っていた」——こうした状況に直面したとき、「これは不正アクセスなのか？どう対応すればいい？」と判断に迷う情シス担当者は少な...

「脅威」「脆弱性」「リスク」——セキュリティの資料や会議でよく飛び交う言葉ですが、三つの違いを正確に説明できますか？ 実はこの三概念を混同したまま対策を打っても、優先順位がズレて予算と工数が無駄になります。インシデント対応の経験を積んだエン...

「うちのサーバー、いつ誰がどのファイルにアクセスできるか正直把握できていない」という声を、現場でよく耳にします。退職した社員のアカウントが残っていた、業務に不要なフォルダを全員が参照できていた――こういった権限の「ゆるさ」は、攻撃者が内部...